Google пусна Chrome 156 за Windows, macOS и Linux на 20 октомври 2026 г., отстранявайки 353 уязвимости в сигурността, включително шест критични дефекта в графичните компоненти, функциите за достъпност, рендирането и комуникацията.

От Google заявяват, че новата версия ще достигне до потребителите през следващите дни и седмици. Коригираните версии са 156.0.8078.47 за Linux и 156.0.8078.47/.48 за Windows и Mac, съгласно предоставеното съобщение за версията. Потребителите трябва да проверят инсталираната от тях версия и да рестартират браузъра след обновяването, за да гарантират, че корекциите ще влязат в сила.

Според бюлетина за сигурност на Google, пет критични уязвимости са свързани с повреда на паметта (memory corruption). Това са CVE-2026-113341 в Skia, CVE-2026-113279 в Accessibility, CVE-2026-113072 в CSS, CVE-2026-113280 в Paint и CVE-2026-113303 в WebRTC. Шестата, CVE-2026-113271, представлява дефект от тип use-after-free в Accessibility.

Уязвимостите от тип use-after-free възникват, когато софтуерът осъществява достъп до вече освободена памет, което създава рискове за сигурността. Публичното съобщение обаче не дава подробности как всяка от критичните уязвимости може да бъде експлоатирана, нито потвърждава пълна верига за атака, така че степента на критичност сама по себе си не доказва пълно компрометиране на устройството.

Обновяване за сигурност на Chrome отстранява 353 уязвимости

Google е докладвала за проблема в Skia вътрешно. Изследователят Синян Ге (Xinyang Ge) е открил уязвимостите, свързани с повреда на паметта, в Accessibility, CSS и Paint. В бюлетина заслугата за откриването на use-after-free дефекта в Accessibility се приписва на Ге от Anthropic, подпомогнат от Claude. Отделът по сигурност на OpenAI Codex, идентифициран като kylebot, е докладвал критичната уязвимост в WebRTC на 15 октомври.

Списъкът с признания показва, че инструментите с изкуствен интелект се появяват редом с изследователите в областта на сигурността на браузърите. В бюлетина обаче не се пояснява степента на участие на изкуствения интелект при всяко откритие и посочените заслуги не трябва да се тълкуват като доказателство, че всяко откриване е било напълно автоматизирано.

Освен критичните проблеми, Chrome 156 отстранява и слабости с висока степен на опасност в SiteIsolation, FileSystem, ANGLE, V8, GPU, Network и други компоненти.

Докладваните типове дефекти включват повреда на паметта, use-after-free, неправилна проверка на входните данни и четене извън установените граници (out-of-bounds reads). Google присъди награда от 10 000 долара за CVE-2026-113101 – use-after-free слабост в SiteIsolation, докладвана от Куйен Сон (Quyen Son) от VinFast.

Тази версия следва по-ранни цикли на инсталиране на корекции за сигурност през октомври, отразени от Cybersecuritynews.com, включително обновяване на Chrome, което отстрани 247 уязвимости, и друго, насочено към 37 уязвимости в браузъра. Тези версии също включваха критични грешки, засягащи сигурността на паметта, превръщайки последното обновяване в част от натоварен месец за корекции на браузъра.

В съобщението на Google не се посочва тези шест критични уязвимости да се експлоатират в активни атаки. Също така се казва, че достъпът до детайли за дефектите може да остане ограничен, докато по-голямата част от потребителите не получат корекциите за сигурност или докато засегнатите външни проекти не отстранят споделените проблеми. Поради това наличната информация оставя важни подробности за експлоатацията неоповестени.

Потребителите могат да последват инструкциите за обновяване на Google, като отворят менюто на браузъра, изберат „Помощ“ и след това „Всичко за Google Chrome“. Chrome проверява за налични обновления на тази страница. Изберете „Рестартиране“, когато бъдете подканени.

Самото изтегляне на корекция за сигурност не завършва инсталацията, тъй като Chrome прилага обновяването едва при рестартиране. За управляваните устройства администраторите могат да използват политиките на Chrome Enterprise, за да подканят или изискват рестартиране на браузъра след изтеглени обновления.